Anti-DoS WebSockets Best practice

In questi giorni è quasi impossibile sventare un DoS basato sul traffico senza una sorta di pesante firewall fisico nella rete. Tuttavia, se stai parlando di altre forme di DoS, ci sono alcune cose che puoi fare per aiutarti.

• Usa socket asincroni / non bloccanti. Un utente malintenzionato potrebbe aprire qualsiasi numero di connessioni ai tuoi socket consumando tutti i thread disponibili. ( Vulnerabilità di Slowloris )

• Controlla quante richieste al secondo un utente può inviare per assicurarti che non stiano invadendo il tuo socket

• Assicurati che l'utente non possa fare in modo che il server esegua risorse troppo impegnative

tl; dr:

"Yes, WebSocket is the first way to open an unlimited number of connections to a single server, so it indeed likely needs additional protection to prevent DOS attacks. But we don't really have a way to implement this correctly ..." (https://bugs.webkit.org/show_bug.cgi?id=32246#c4)

dato che anche io sono interessato a questo argomento, ma non ho il tempo di leggere tutte le fonti, inizierò come una raccolta di (auspicabilmente) link utili; i commenti a ciascun link sono apprezzati

• Analisi della sicurezza WebSocket (PDF)
• I pericoli di HTML5: WebSockets e standard stabili (MSDN)
• Sicurezza WebSocket (Heroku)
• Websockets 101 (pocoo) (la sezione della maggior parte delle lezioni apprese)

update 1 (specialmente Blackhat-Presentation)

• Hacking con WebSockets / BlackHat 2012 , esp. Sezioni: Denial of Service - Server / Deploy WebSockets Protocollo sicuro / sicuro per WebSockets

• HTML5 WebSockets - sicurezza e amp; nuovo strumento per attaccare

• HTML5 Web Sockets modifica il gioco di scalabilità